"콜드카드 보안 결함 5년간 몰랐다…하드웨어 지갑 검증 부실 논란"

콜드카드 하드웨어 지갑에서 5년간 발견되지 않은 난수 생성 결함이 드러나면서 가상자산(암호화폐) 하드웨어 지갑 업계 전반의 보안 검증 체계 부재가 도마에 올랐다.

3일(현지시간) 가상자산 전문 미디어 코인텔레그래프에 따르면 닉 퍼코코 크라켄 최고보안책임자(CSO)는 자신의 X를 통해 이번 사태가 하드웨어 지갑 제조사들에 "경종을 울리는 사건"이라며 "승인된 난수 생성 경로가 실제 출하 펌웨어에서도 그대로 실행되는지 독립적으로 검증하는 절차가 필요하다"고 촉구했다.

퍼코코 CSO는 "소비자들은 시스템에서 가장 중요한 단일 기능의 구현을 제조사에 맡기고 있지만, 승인된 엔트로피 경로가 실제로 실행되는지 독립적으로 확인하는 절차가 없다"고 지적했다.

이번 결함은 콜드카드 제조사 코인카이트가 지난 목요일 공개했다. 코인카이트에 따르면 2021년 3월 새 암호화 라이브러리를 통합하는 과정에서 지갑 생성 경로가 의도한 진성 난수 생성기(TRNG) 대신 코드베이스에 잠재해 있던 취약한 마이크로파이썬 의사 난수 생성기(PRNG)로 잘못 연결됐다.

코인카이트는 사후 분석 보고서에서 "콜드카드의 난수 대부분이 코드베이스에 존재하는지조차 몰랐던 PRNG에서 나오고 있었다"며 "정작 공들여 작성한 TRNG 코드는 우연히, 그것도 덜 중요한 기능에만 쓰이고 있었다"고 밝혔다.

코드 검토 과정에서 TRNG 코드의 존재와 작동은 확인됐지만, 실제 호출되는 난수 생성기가 무엇인지는 점검하지 않아 결함이 5년간 탐지되지 않았다. 퍼코코 CSO는 이런 종단 간 검증이 미국 국립표준기술연구소(NIST)와 독일 연방정보보안청(BSI) 등 다른 보안 산업에서는 이미 표준으로 자리 잡고 있다고 지적했다.

그러면서 "결제 업계는 개인 식별 번호(PIN) 입력 장치를 독립 실험실 테스트 없이 출하하지 않고, 미국 정부도 엔트로피 소스 검증 없이 암호화 모듈을 승인하지 않는다"며 "디지털 자산 자기 수탁만 예외가 돼서는 안 된다"고 강조했다.

한편 이번 결함을 악용한 것으로 추정되는 공격으로 현재까지 4500개 이상의 주소가 피해를 입었으며, 비트코인(BTC) 약 9000만달러(약 1294억원)가 탈취됐다. 코인카이트는 결함 확인 이후 모든 기기 출하를 중단하고 해당 펌웨어가 탑재된 재고를 전량 폐기했다. 다만 피해 기기 보유자에게는 향후 자금 회수 절차에 필요할 수 있다며 기기를 임의로 폐기하지 말 것을 당부했다.